💻 computer science

Breaking 5G on The Lower Layer

이 논문은 5G 하위 계층(PHY/MAC)의 보안 취약점을 이용해 시스템 정보(SIB1) 조작을 통한 배터리 소모 유도와 타이밍 어드밴스(TA) 조작을 통한 서비스 거부(DoS) 공격이 가능함을 실험적으로 증명하며, 하위 계층 제어 메시지에 대한 방어 체계 마련의 필요성을 강조합니다.

원저자: Subangkar Karmaker Shanto, Imtiaz Karim, Elisa Bertino

게시일 2026-02-12

📖 2 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Subangkar Karmaker Shanto, Imtiaz Karim, Elisa Bertino

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

1. 배경: "성벽은 높지만, 정문 보안은 허술하다?"

요즘 5G는 아주 강력한 보안을 자랑합니다. 마치 성(네트워크)의 높은 성벽(상위 계층)에는 최첨단 레이저 감지기와 암호화 장치를 겹겹이 설치해 둔 것과 같습니다. 그래서 해커가 성 안의 중요한 데이터(개인정보 등)를 훔치기는 매우 어렵습니다.

하지만 이 연구팀은 **"성벽은 높은데, 성문 앞에 있는 '안내 표지판'이나 '신호등'은 아무나 바꿀 수 있다면 어떨까?"**라는 질문을 던졌습니다. 성벽 안으로 들어가지 못하더라도, 성문 앞의 규칙을 망가뜨려 사람들을 혼란에 빠뜨리는 것이죠. 이것이 바로 이 논문이 다루는 **'하위 계층(PHY/MAC) 공격'**입니다.

2. 첫 번째 공격: "가짜 안내 표지판" (SIB1 스푸핑)

[비유: 계속 바뀌는 도로 표지판]
당신이 고속도로를 달리고 있는데, 갑자기 도로 표지판의 '버전 번호'가 1초마다 계속 바뀐다고 상상해 보세요. 표지판이 바뀔 때마다 운전자는 "어? 정보가 바뀌었나?" 하고 차를 멈추고 지도를 다시 확인해야 합니다.

실제 공격: 연구팀은 5G 기지국이 뿌리는 '시스템 정보(SIB1)' 중 하나인 valueTag(정보의 버전 번호)를 강제로 계속 바꿨습니다.
결과: 스마트폰은 "정보가 바뀌었으니 다시 다운로드해야 해!"라고 인식하며 계속해서 데이터를 새로 받으려고 애를 씁니다. 이 과정에서 스마트폰은 쉬지 못하고 계속 일을 해야 하므로, 배터리가 순식간에 녹아버리는(배터리 드레인) 현상이 발생합니다.

3. 두 번째 공격: "엇박자 신호등" (TA 조작)

[비유: 타이밍을 뺏는 출발 신호]
달리기 경주를 하는데, 심판이 "출발!"이라고 외치는 타이밍을 교묘하게 조작한다고 생각해 보세요. 선수가 출발 신호를 듣고 0.5초 늦게 뛰거나 너무 빨리 뛰게 만들면, 결국 선수는 트랙을 벗어나거나 넘어지게 될 것입니다.

실제 공격: 5G에서는 스마트폰과 기지국 사이의 거리에 맞춰 신호를 주고받는 '타이밍 조절(Timing Advance)' 과정이 있습니다. 연구팀은 가짜 기지국을 세워, 스마트폰에게 **"너는 지금보다 조금 더 빨리(혹은 늦게) 신호를 보내야 해"**라고 잘못된 타이밍 값을 알려주었습니다.
결과: 스마트폰은 잘못된 타이밍에 맞춰 신호를 보냈고, 기지국은 이 신호를 제대로 알아듣지 못했습니다. 결국 스마트폰은 "연결 끊김(Radio Link Failure)" 상태에 빠져 인터넷이 먹통이 되는 서비스 거부(DoS) 공격을 당하게 됩니다.

4. 결론 및 시사점: "표지판에도 암호를 걸어야 합니다"

연구팀은 실험을 통해 이 공격들이 실제 스마트폰(갤럭시, 구글 픽셀 등)에서 실제로 작동한다는 것을 증명했습니다.

핵심 메시지:
"데이터 자체를 암호화하는 것도 중요하지만, 통신을 시작할 때 사용하는 **기초적인 안내 정보(표지판, 타이밍 신호)에도 '이게 진짜 기지국이 보낸 게 맞는지' 확인하는 암호(무결성 보호)를 걸어야 한다"**는 것입니다.

즉, 성벽만 높게 쌓을 게 아니라, 성문 앞의 신호등과 표지판이 가짜로 바뀌지 않도록 보안을 강화해야 한다는 경고를 담고 있습니다.

[기술 요약] 5G 하위 계층(Lower Layer)의 보안 취약점 분석 및 공격 연구

1. 문제 제기 (Problem Statement)

최근 3GPP 표준은 5G 네트워크의 상위 계층(RRC, NAS 등)에 대한 보안(암호화 및 무결성 보호)을 대폭 강화했습니다. 하지만, 물리 계층(PHY)과 MAC 계층과 같은 하위 계층의 제어 메시지들은 여전히 암호화나 무결성 보호가 적용되지 않은 평문(Plaintext) 상태로 전송되는 경우가 많습니다. 이는 네트워크 설정 속도와 지연 시간(Latency)을 최적화하기 위한 설계상의 선택이지만, 공격자가 이 메시지들을 조작할 수 있는 보안 허점을 만들어냅니다. 기존 연구들이 주로 상위 계층의 취약점에 집중했다면, 본 논문은 하위 계층의 제어 파라미터 조작이 실제 서비스 가용성과 단말기 에너지 효율에 어떤 치명적인 영향을 미치는지 탐구합니다.

2. 연구 방법론 (Methodology)

연구진은 소프트웨어 정의 라디오(SDR, USRP B210)와 오픈 소스 5G 네트워크 소프트웨어(srsRAN)를 사용하여 가짜 기지국(Rogue gNodeB/Fake Base Station) 환경을 구축했습니다.

공격 모델: 공격자는 주변의 정상적인 기지국 신호를 수동적으로 스니핑(Sniffing)하여 시스템 파라미터를 수집한 뒤, 더 높은 송신 전력으로 조작된 신호를 송출하여 단말기(UE)를 유인합니다.
대상 파라미터:
- SIB1 (System Information Block 1): valueTag (SI 버전 표시), Tracking Area Code (이동성 관리), si-WindowLength (SI 수신 윈도우 길이).
- MAC Layer: Timing Advance (TA) Command (상향링크 타이밍 동기화 값).
실험 환경: 상용 스마트폰(OnePlus Nord 5G, Google Pixel 5)을 피해 단말기로 사용하였으며, 통제된 실험실 환경에서 공격을 수행했습니다.

3. 주요 기여 및 공격 유형 (Key Contributions & Attack Types)

본 논문은 두 가지 실질적인 공격을 구현하고 검증했습니다.

① SIB1 스푸핑 공격 (SIB1 Spoofing Attack)

메커니즘: SIB1 내의 보호되지 않은 필드를 조작합니다.
- valueTag 조작: 이 값을 주기적으로 변경하여 단말기가 기존 시스템 정보가 만료되었다고 믿게 만듭니다. 이로 인해 단말기는 불필요하게 전체 시스템 정보를 다시 획득하는 과정을 반복합니다.
- TAC 및 si-WindowLength 조작: 이동성 관리 신호를 유도하거나 SI 수신 스케줄링 계산을 방해합니다.
목적: 단말기의 불필요한 무선 인터페이스 활성화를 유도하여 **배터리 소모를 가속화(Battery Drain)**하고 제어 평면의 혼잡을 유도합니다.

② 타이밍 어드밴스 조작 공격 (TA Manipulation Attack)

메커니즘: 무작위 접속(Random Access) 절차 중, 기지국이 단말기에 보내는 RAR(Random Access Response) 메시지 내의 TA 값을 공격자가 의도한 오프셋( $\Delta$ )만큼 조작하여 전송합니다.
목적: 단말기가 잘못된 타이밍 값으로 상향링크(Uplink) 신호를 보내게 하여, 기지국과의 **타이밍 불일치(Desynchronization)**를 유도합니다. 이는 결국 무선 링크 실패(RLF)와 재연결 루프를 발생시켜 서비스 거부(DoS) 상태를 만듭니다.

4. 실험 결과 (Results)

SIB1 공격 결과:
- valueTag 조작 시, 단말기는 10초 간격으로 시스템 정보 재획득 과정을 반복하는 것이 확인되었습니다. 이는 단말기의 대기 모드(Idle mode) 효율을 떨어뜨려 배터리 수명을 단축시킵니다.
- 다만, TAC 및 si-WindowLength 조작은 실험 환경의 단말기 구현 특성상 즉각적인 NAS 신호 폭풍으로 이어지지는 않았으나, 이론적 취약점은 확인되었습니다.
TA 조작 공격 결과 (가장 치명적):
- 임계값 확인: TA 오프셋 값이 20 단위를 초과할 경우, 테스트된 모든 단말기에서 무선 링크 실패(RLF)가 확실하게 발생했습니다.
- 재연결 루프: 단말기가 RLF를 감지하고 재연결을 시도할 때, 공격자의 가짜 기지국 신호가 더 강하기 때문에 단말기는 다시 가짜 기지국에 접속하게 됩니다. 이 과정에서 다시 조작된 TA를 받게 되어 "접속 $\rightarrow$ 타이밍 불일치 $\rightarrow$ RLF $\rightarrow$ 재접속"의 무한 루프에 빠지게 됩니다. 이는 공격자가 가짜 기지국을 켜두는 동안 지속되는 강력한 DoS 공격임을 입증했습니다.

5. 연구의 의의 (Significance)

보안 사각지대 증명: 5G가 상위 계층 보안을 강화했음에도 불구하고, 하위 계층의 작은 제어 메시지 조작이 전체 네트워크 가용성과 단말기 성능에 막대한 영향을 미칠 수 있음을 실증적으로 보여주었습니다.
실질적 위협 제시: 단순한 이론적 가능성을 넘어, 실제 상용 스마트폰을 대상으로 DoS 및 배터리 소모 공격이 가능함을 증명했습니다.
방어 전략 제언: 연구진은 향후 대응책으로 RAR 및 SIB1 메시지에 대한 무결성 보호(Integrity Protection) 도입, TA 신호 강도와 타이밍 간의 불일치를 감지하는 지능형 모니터링, 그리고 RF 지문(Fingerprinting) 기술 등을 제안하며 5G 보안 설계의 개선 방향을 제시했습니다.